简介：奇安信天擎终端安全管理系统管理员手册面向企业终端安全运维人员、系统管理员及安全初学者，提供从产品认知到部署落地的完整指导。手册围绕产品简介、主要功能、典型部署场景与部署形态四大模块展开，涵盖终端安全管理、恶意代码检测、网络攻击防护、数据加密与身份验证等核心能力，并详细说明互联网络、隔离网络、多级级联及高级版EDR等部署方案，以及单机与集群两种部署形态，帮助读者理解终端安全防护要点与配置思路。资源为1个PDF文档，压缩包约23.07MB，内容完整、目录清晰，便于按章节检索查阅。目前已有3886人学习下载，适合需要系统掌握奇安信天擎管理方法、对照实际环境规划部署的安全从业者参考使用。
1. 从一台被隔离的终端说起：天擎 V10.0 管理端部署前必须对齐的三件事
很多管理员第一次接触天擎 V10.0，是在一台已经装好控制台的服务器上点来点去，觉得“这不就是个 Web 后台”。真正翻车的是要自己从零搭一套环境的时候：管理中心装完，终端死活注册不上；或者终端注册上了，策略下发下去没反应；再或者更新包传上去，管理中心自己先卡死了。这套终端安全管理系统在政企内网里太常见了，常见到很多人默认“它应该跟装个普通软件一样”，结果在端口、证书、通信地址这三件事上反复踩坑。这篇笔记按我自己的部署习惯，把 V10.0 管理端从环境准备到验证跑通拆一遍，适合第一次独立部署天擎的运维，也适合装过旧版本、想理清 V10.0 差异的老手。下面所有操作都基于管理员手册里的部署场景和基础功能章节，不额外引入手册没提的组件。
2. 装之前先把环境定死：管理中心、数据库与通信地址的版本选择
2.1 管理中心与数据库的版本对应关系
天擎 V10.0 的管理中心是整套系统的核心，终端注册、策略下发、更新分发、日志上报都绕不开它。手册里把部署形态分成单机部署和集群部署，单机适合终端规模在几百台以内的场景，集群适合上千台终端或者对可用性有要求的场景。我一般会先确认终端规模，再决定装单机还是集群，因为这两种形态对数据库和通信地址的要求不一样。
数据库这块，手册没有在正文里写死具体版本号，但根据典型部署场景的描述，管理中心需要独立的关系型数据库实例。常见做法是管理中心和数据库分开两台机器，数据库单独做备份策略。如果你把数据库和管理中心塞在同一台机器上，终端数量一上来，磁盘 I/O 会先扛不住，表现就是控制台页面加载变慢、策略下发延迟。
| 部署形态 | 适用终端规模 | 数据库位置 | 通信地址要求 |
|---|---|---|---|
| 单机部署 | 几百台以内 | 可同机可独立 | 一个固定 IP 或域名 |
| 集群部署 | 上千台 | 必须独立 | 负载均衡地址或统一域名 |
通信地址是新手最容易忽略的一项。手册在“管理中心的通信地址”和“自动切换服务器”两节里专门讲了这件事。终端注册时填的地址，必须和管理中心实际监听的地址一致。如果你装的时候用的是临时 IP，后面再改，终端不会自动跟着变，得重新注册或者走迁移终端流程。
2.2 安装前的系统检查清单
在放安装包之前，我习惯先过一遍系统层的东西。天擎管理中心对操作系统的要求，手册里没有在正文里逐条列，但根据典型部署场景的上下文，常见做法是主流 Linux 发行版和 Windows Server 都支持，具体以你拿到的安装包里的说明为准。下面这几项是我每次都会确认的：
# 确认系统时间与时区，时间偏差会导致终端注册握手失败 date timedatectl status # 确认磁盘空间，管理中心日志和更新包会持续占用 df -h /opt /var /data # 确认端口占用，管理中心默认会监听多个端口 ss -tlnp | grep -E '80|443|8080|8443' # 确认主机名解析，集群部署时节点之间要能互相解析 cat /etc/hosts hostname -f时间同步这件事看起来小，但终端注册时如果管理中心和终端时间差超过几分钟，握手直接失败，日志里只会写“注册超时”，不会告诉你是因为时间不对。我一般会在装之前先把 NTP 对齐，再往下走。
端口占用也要提前看。如果你打算用 80 或 443 给控制台，先确认没有别的 Web 服务占着。手册里“系统设置”和“通用设置”部分可以改控制台端口，但改端口之后终端注册地址也要跟着改，不如一开始就规划好。
2.3 安装包获取与校验
安装包从官方渠道拿，拿到之后先校验完整性。手册没有在正文里写校验命令，但这是运维的基本习惯。常见做法是用安装包自带的校验文件比对哈希值：
# 假设安装包和校验文件在同一目录 sha256sum -c qax-tianqing-v10.0.sha256 # 如果没有校验文件，至少确认文件大小和官方发布页一致 ls -lh qax-tianqing-v10.0-installer.tar.gz校验不通过就别往下装了，重新拿包。我见过因为安装包传输不完整导致管理中心装到一半报“解压失败”的情况，排查半天以为是系统问题，最后发现是包本身缺了几百字节。
3. 管理中心安装与初始化：从静默安装到首次登录
3.1 执行安装脚本与关键参数说明
天擎 V10.0 管理中心的安装，手册里归在“管理系统更新”和“典型部署场景”相关章节的上下文里。实际安装时，安装包一般会提供一个交互式脚本或者静默安装参数。我习惯用静默方式，因为参数可以提前写进配置文件，避免手抖选错。
# 解压安装包 tar -zxvf qax-tianqing-v10.0-installer.tar.gz -C /opt/ # 进入安装目录 cd /opt/qax-tianqing-v10.0-installer/ # 执行安装脚本，指定数据库连接和管理中心通信地址 ./install.sh \ --db-host 192.168.10.21 \ --db-port 3306 \ --db-name tianqing \ --db-user tq_admin \ --db-pass 'YourStrongPass' \ --center-ip 192.168.10.10 \ --center-port 8443 \ --install-dir /opt/qax/tianqing这里几个参数值得展开说。--db-host和--db-port指向你提前准备好的数据库实例，数据库要先建好库和账号，安装脚本不会帮你建库。--center-ip是终端将来要注册的地址，这个值一旦写进终端注册包，后面改起来很麻烦，所以装之前就要定死。--center-port是管理中心服务端口，默认 8443，如果你前面有反向代理，这里可以改成后端实际端口。
安装脚本跑完会提示“安装成功”，但别急着开控制台。先确认服务状态：
# 查看管理中心服务状态 systemctl status qax-tianqing-center # 查看服务日志，确认没有报错 tail -n 100 /opt/qax/tianqing/logs/center.log如果服务起不来，日志里通常会写具体原因，比如数据库连不上、端口被占用、证书文件缺失。数据库连不上是最常见的，先检查数据库账号权限和防火墙。
3.2 首次登录与许可证导入
服务正常之后，浏览器访问https://192.168.10.10:8443，会看到登录页。默认管理员账号和密码在安装完成时的提示里，或者手册的“许可证管理”和“系统设置”章节有说明。第一次登录会强制改密码，改完密码之后要导入许可证。
许可证导入在“许可证管理”章节里有详细说明，路径是控制台的许可证管理页面。导入之后，许可证概况会显示授权终端数和到期时间。如果许可证没导入或者过期，终端注册会受限，表现是终端能连上但策略不下发。
# 如果许可证文件是离线导入的，确认文件权限 ls -l /opt/qax/tianqing/license/ # 导入后查看许可证状态 cat /opt/qax/tianqing/license/license.status许可证这块有个坑：集群部署时，许可证要在主节点导入，然后同步到其他节点。如果你在每个节点单独导入，可能会出现授权数重复计算的问题。
3.3 通信地址与自动切换服务器配置
管理中心装好之后，第一件事是确认通信地址。手册在“管理中心的通信地址”和“自动切换服务器”两节里讲了怎么配。路径是控制台的系统设置或者终端管理相关页面。
通信地址的作用是告诉终端“你应该连哪个 IP”。如果你后面要换服务器或者加节点，终端不需要重新注册，只要通信地址列表里有新地址，终端会自动切换。我一般会配两个地址：一个主地址，一个备用地址。主地址挂了，终端会尝试备用地址。
# 在管理中心配置文件里确认通信地址列表 cat /opt/qax/tianqing/conf/center-address.conf # 输出示例： # primary=192.168.10.10:8443 # backup=192.168.10.11:8443自动切换服务器的触发条件在手册里有说明，常见做法是终端连续几次心跳失败后触发切换。切换过程中终端会短暂离线，但策略和日志不会丢，恢复连接后会补传。
4. 终端注册与策略下发：让第一台终端跑起来
4.1 生成终端安装包与注册参数
管理中心装好之后，下一步是让终端注册上来。手册在“终端部署日志”和“终端更新配置”相关章节里提到了终端安装包的生成方式。路径是控制台的终端管理或者部署管理页面，选择对应操作系统，生成安装包。
生成安装包时，最关键的是注册地址。这个地址就是前面配的通信地址，终端装完之后会拿这个地址去连管理中心。如果你生成安装包时填错了地址，终端装完连不上，只能卸载重装或者手动改注册表。
# 终端安装包在管理中心的存放路径 ls -l /opt/qax/tianqing/deploy/ # 输出示例： # tianqing-agent-linux-x64.run # tianqing-agent-windows-x64.exeLinux 终端的安装命令一般是这样：
# 给安装包加执行权限 chmod +x tianqing-agent-linux-x64.run # 静默安装，指定注册地址 ./tianqing-agent-linux-x64.run --silent --server 192.168.10.10:8443 # 查看终端服务状态 systemctl status qax-tianqing-agentWindows 终端用 exe 安装包，双击或者用命令行静默安装，参数类似。安装完之后，终端会主动向管理中心注册，注册成功后在控制台的终端概况里能看到这台机器。
4.2 终端分组与策略绑定
终端注册上来之后，默认在“未分组”或者“默认分组”里。手册在“终端分组”和“策略管理”章节里讲了怎么建分组、怎么绑策略。我一般会按部门或者按操作系统建分组，因为不同部门的策略可能不一样。
策略绑定之后，终端不会立刻生效，要等下一次心跳。心跳间隔在“终端更新配置”里有说明，常见做法是几分钟一次。如果你想立刻验证，可以在控制台手动触发一次策略下发。
# 在终端上查看策略是否已下发 cat /opt/qax/tianqing-agent/conf/policy.conf # 如果文件为空或者不存在，说明策略还没下发到终端策略下发失败的原因很多，最常见的是终端和管理中心之间网络不通，或者终端服务没起来。先看终端日志：
# 查看终端日志 tail -n 100 /opt/qax/tianqing-agent/logs/agent.log # 如果看到 "connect failed" 或者 "register timeout"，先检查网络和注册地址4.3 验证终端在线与策略生效
终端在线状态在控制台的终端概况里看。如果终端显示离线，但终端服务是起来的，先看终端日志里的注册地址对不对。手册在“终端排障日志”和“终端部署日志”里讲了怎么排查这类问题。
策略生效的验证方法，我一般会建一条最简单的策略，比如禁止某个进程运行，然后在那台终端上试。如果策略生效，进程会被拦截；如果不生效，看策略的优先级和分组绑定关系。手册在“强制策略”和“用户策略”里讲了优先级规则，强制策略优先级高于用户策略，分组策略优先级高于全局策略。
5. 更新管理与避坑：在线更新、离线更新和覆盖安装怎么选
5.1 在线更新与离线更新的适用场景
手册在“更新管理”章节里把更新方式分得很细：在线更新、离线更新、覆盖安装、P2P、定时更新、自动更新、手动更新。我一般按网络环境选：能连外网的管理中心用在线更新，隔离网用离线工具更新。
在线更新的路径是控制台的更新管理页面，点“在线更新”之后，管理中心会去拉更新包。拉完之后可以选择立即更新或者定时更新。我一般选定时更新，放在业务低峰期，因为更新过程中管理中心会重启服务，终端会短暂离线。
离线更新适用于隔离网。手册在“隔离网部署的管理中心如何更新”和“孤岛终端如何更新”两节里讲了具体流程。大致是：在外网机器上下载离线更新工具和更新包，拷进隔离网，在管理中心上执行离线更新。
# 离线更新工具一般是个可执行文件，用法示例 ./qax-tianqing-offline-update --package /path/to/update.pkg --center /opt/qax/tianqing # 更新完成后查看版本号 cat /opt/qax/tianqing/conf/version.conf覆盖安装更新是另一种方式，相当于用新版本安装包直接覆盖旧版本。手册在“覆盖安装更新”一节里写了注意事项：覆盖安装前要备份数据库和配置文件，覆盖安装后要检查许可证和服务状态。我一般只在在线更新和离线更新都失败的情况下才用覆盖安装，因为风险最高。
5.2 更新时的带宽控制与风险降低
手册在“如何降低更新带来的风险”和“如何减小更新时占用带宽对业务的影响”两节里给了具体建议。我自己的做法是：更新前先备份数据库，更新时限制并发终端数，更新后先验证几台终端再全量推。
带宽控制这块，管理中心可以配 P2P 分发。P2P 的好处是终端之间互相传更新包，减轻管理中心压力。但 P2P 在隔离网里效果一般，因为终端之间可能不通。我一般会在终端数量多、网络条件好的场景开 P2P，否则还是走管理中心直推。
# 查看更新任务状态 cat /opt/qax/tianqing/logs/update.log | tail -n 50 # 如果看到 "bandwidth limit reached"，说明并发太高，需要调低并发数更新过程中如果管理中心卡死，先看磁盘空间和数据库连接数。更新包会占用大量磁盘，数据库连接数在更新时会飙升。如果磁盘满了，更新会中断，管理中心可能起不来。
5.3 更新后终端不生效的排查
更新完管理中心之后，终端不会自动更新，要等终端更新策略触发。手册在“终端更新配置”和“终端更新日志”里讲了怎么配终端更新策略。常见做法是管理中心更新完之后，先不推终端，等验证没问题再推。
如果你发现管理中心更新了，但终端还是旧版本，先看终端更新日志：
# 查看终端更新日志 tail -n 100 /opt/qax/tianqing-agent/logs/update.log # 如果看到 "server version mismatch"，说明终端还没收到更新通知终端更新失败的原因可能是终端离线、磁盘空间不足、或者更新包下载不完整。手册在“终端更新日志”里列了几种常见错误码，对照着看就行。
6. 避坑与排查：天擎 V10.0 部署中最容易翻车的五个点
6.1 终端注册不上，日志只写“注册超时”
现象：终端安装完，服务也起来了，但控制台里看不到这台终端，终端日志里只有“register timeout”。
原因：最常见的是终端和管理中心之间网络不通，或者注册地址填错了。还有一种情况是管理中心的时间不对，终端和管理中心时间差太大，握手失败。
解决：先在终端上 ping 管理中心地址，确认网络通。然后检查终端配置文件里的注册地址：
cat /opt/qax/tianqing-agent/conf/server.conf # 确认 address 字段和管理中心通信地址一致如果地址对、网络通，再检查管理中心的时间：
date # 和管理中心时间比对，偏差超过 5 分钟就要同步6.2 策略下发后终端没反应
现象：控制台显示策略已下发，但终端上策略没生效。
原因：策略绑定关系不对，或者终端不在策略生效的分组里。还有一种情况是策略优先级被更高的策略覆盖了。
解决：先确认终端在哪个分组，再看那个分组绑了哪些策略。手册在“策略管理”和“终端分组”里讲了优先级规则。如果终端同时属于多个分组，策略会按优先级合并，高优先级的生效。
# 在终端上查看当前生效的策略 cat /opt/qax/tianqing-agent/conf/policy.conf # 如果文件里没有你刚下发的策略，说明策略没到终端6.3 管理中心更新后起不来
现象：执行完更新，管理中心服务起不来，控制台打不开。
原因：更新过程中数据库结构变了，但数据库没升级成功；或者更新包不完整，文件缺失。
解决：先看服务日志：
tail -n 200 /opt/qax/tianqing/logs/center.log # 如果看到 "database schema mismatch"，说明数据库没升级这种情况一般要用备份恢复数据库，然后重新执行更新。手册在“系统数据备份与还原”章节里讲了备份和还原的步骤。我一般会在更新前手动备份一次数据库，更新失败就直接还原。
6.4 终端离线后重新上线，策略丢失
现象：终端离线一段时间后重新上线，之前下发的策略没了。
原因：终端离线时间太长，超过了策略缓存有效期。或者终端重新注册时拿了新的策略配置，但旧策略没同步。
解决：在控制台重新下发一次策略。手册在“自动切换服务器”和“迁移终端”里讲了终端重新注册的流程。如果终端频繁离线，先排查网络稳定性。
6.5 许可证导入后终端数不对
现象：许可证导入成功，但控制台显示的授权终端数和实际注册数对不上。
原因：集群部署时许可证在多个节点重复导入，或者终端注册后没释放旧记录。
解决：在许可证管理页面查看使用情况，手册在“许可证使用情况”里有说明。如果发现重复计算，先在主节点重新导入许可证，然后同步到其他节点。已卸载的终端记录要手动删除，手册在“如何手动删除已卸载的终端”一节里有步骤。
7. 装完怎么验证跑通：三条命令加一张检查表
装完天擎 V10.0 之后，别急着批量推终端。我一般会先拿一台测试终端走完整流程，确认注册、策略、更新三条链路都通。下面是我自己的验证习惯，你可以直接抄。
第一步，确认管理中心服务状态和版本号：
# 服务状态 systemctl status qax-tianqing-center # 版本号 cat /opt/qax/tianqing/conf/version.conf # 数据库连接 mysql -h 192.168.10.21 -u tq_admin -p -e "SELECT 1;"第二步，在测试终端上确认注册和策略：
# 终端服务状态 systemctl status qax-tianqing-agent # 注册地址 cat /opt/qax/tianqing-agent/conf/server.conf # 策略文件 cat /opt/qax/tianqing-agent/conf/policy.conf # 终端日志最后 50 行 tail -n 50 /opt/qax/tianqing-agent/logs/agent.log第三步，在控制台确认终端在线、策略已下发、更新任务正常。下面这张检查表是我每次部署完都会过一遍的：
| 检查项 | 正常表现 | 异常时先看 |
|---|---|---|
| 管理中心服务 | 运行中，日志无报错 | center.log |
| 数据库连接 | 能查询，无超时 | 数据库日志、防火墙 |
| 终端注册 | 控制台能看到终端 | 终端 server.conf、网络 |
| 策略下发 | 终端 policy.conf 有内容 | 分组绑定、策略优先级 |
| 更新任务 | 更新日志无报错 | update.log、磁盘空间 |
| 许可证 | 授权数与注册数一致 | 许可证管理页面 |
这套流程走完，基本能确认环境是通的。从那以后我每次部署天擎，都会先拿一台测试终端跑完注册、策略、更新三条链路，再批量推。希望帮到你。
本文还有配套的精品资源，点击获取
